Nginx访问控制模块

一、Nginx访问控制模块

　　Nginx默认安装的模块http_access_module，可以基于来源IP进行访问控制.

　　1.模块安装

　　nginx中内置ngx_http_access_module，除非编译安装时指定了–without-http_access_module。

　　2.指令

　　allow、deny

　　语法: allow address | CIDR | unix: | all;

　　默认值: –

　　配置段: http, server, location, limit_except

　　允许或者禁止某个ip或者一个ip段访问。如果指定unix:，那将允许或者禁止socket的访问，unix在1.5.1才新加入。

　　3.示例

　　　location / {
　　deny 192.168.1.1;
　　allow 192.168.1.0/24;
　　allow 10.1.1.0/16;
　　allow 2001:0db8::/32;
　　deny all;
　　}

　　从上到下的顺序，类似iptables。匹配到了便跳出。如上的例子先禁止了192.16.1.1，接下来允许了3个网段，其中包含了一个ipv6，最后未匹配的IP全部禁止访问.

　　被deny的将返回403状态码。

　　该方案缺陷：nginx内置的http_access_module只能针对remote_addr进行来源IP的限制，如果用户和服务器之间加入了CDN或者其他代理，remote_addr记录的则是CDN节点的IP地址，无法做到有效的基于来源IP的访问控制。

二、支持CDN的Nginx来源IP访问控制

　　在经过了CDN节点后，用户端的真实IP地址将会被隐藏，无法通过remote_addr来做到有效的IP访问控制。

　　大部分的的CDN服务商都会将用户的真是IP加入到http header的http_x_forwarded_for这个变量中（当然，这个http header是可以被伪造的）

　　也有部分CDN厂商使用了自定义的变量，比如网宿科技使用http_cdn_src_ip这个变量

　　这里不讨论http header伪造的问题，这里的目的只是为了能够获取到用户的真实IP，如果条件允许，你完全可以使用其他的自定义变量来获取用户真实IP

　　下面直接来看Nginx具体配置：

location / {
set $httpcode 403;
if ( $remote_addr ~* “10.0.0|192.168.1|172.16.0.1” ) { # 匹配10.0.0.0/24，192.168.1.0/24，172.16.0.1
set $httpcode 200;
}
if ( $http_x_forwarded_for ~* “118.89.174.181” ) { # 匹配118.89.174.181
set $httpcode 200;
}
if ( $http_cdn_src_ip ~* “118.89.174.181” ) { # 匹配118.89.174.181
set $httpcode 200;
}
if ( $httpcode = 403 ) {
return 403;
}
}

　　配置解释：

　　首先要考虑到用户行为，用户有可能直接访问服务器（对应的变量为remote_addr），也可能是通过阿里云的CDN节点（假设，对应的变量为http_x_forwarded_for），也可能是通过网宿的CDN节点（假设，对应的变量为http_cdn_src_ip），这时候就需要对不同的场景配置IP访问控制。

我的方法是，先设置一个变量httpcode=403，然后进行if判断，如果对应的变量只要有一条匹配定义的IP地址，则设置httpcode=200，最后判断httpcode的值，如果是403（IP全部未匹配）则返回403拒绝访问，否则允许访问。